Cyberattaque massive au Sénégal : 139 téraoctets de données biométriques en danger
La Direction de l'Automatisation des Fichiers (DAF) victime d'une intrusion sans précédent qui menace l'identité numérique de millions de Sénégalais
L'une des plus graves cyberattaques jamais enregistrées en Afrique de l'Ouest
Une alerte de cybersécurité d'ampleur exceptionnelle secoue le Sénégal. Un groupe cybercriminel se présentant sous le nom de "Green Blood Group" affirme avoir compromis les systèmes de la Direction de l'Automatisation des Fichiers (DAF), exfiltrant 139 téraoctets de données sensibles. Cette institution stratégique, pilier de la gestion de l'identité numérique nationale, centralise les données biométriques de tous les citoyens sénégalais.
L'attaque aurait débuté plusieurs jours avant le 5 février 2026 et a entraîné la suspension nationale de la production des cartes nationales d'identité. Le site web officiel de la DAF reste inaccessible depuis plusieurs jours, alimentant les inquiétudes sur l'ampleur réelle de la compromission. Des milliers de Sénégalais se retrouvent dans l'impossibilité d'obtenir ou de renouveler leurs documents d'identité, paralysant de nombreuses démarches administratives.
Un groupe cybercriminel émergent mais redoutablement efficace
Le "Green Blood Group" est un nouvel acteur de la cybercriminalité qui a fait son apparition début 2026. Selon les premières analyses, ce groupe a concentré ses activités sur seulement deux pays africains : le Sénégal et l'Égypte. Cette sélectivité suggère une stratégie ciblée plutôt qu'une approche opportuniste.
Les experts en cybersécurité notent que ce groupe utilise une infrastructure professionnelle basée sur un rançongiciel développé en langage Golang, combinant chiffrement moderne et techniques d'extorsion sophistiquées. Le mode opératoire repose sur la double extorsion : non seulement les systèmes sont chiffrés et rendus inutilisables, mais les pirates menacent également de divulguer publiquement les données exfiltrées si leurs demandes ne sont pas satisfaites.
Cette tactique, de plus en plus répandue dans le monde de la cybercriminalité, maximise la pression sur les organisations ciblées en les confrontant à un double risque : paralysie opérationnelle et atteinte à la réputation.
Des données ultrasensibles compromises
Les informations évoquées donnent le vertige. Les données compromises concerneraient les identités nationales, les données biométriques (empreintes digitales, photographies, signatures), les fichiers électoraux et des documents relatifs à l'immigration. En clair, c'est le cœur même de la souveraineté identitaire du Sénégal qui est menacé.
Le volume de 139 téraoctets représente une quantité colossale d'informations. Pour mettre ce chiffre en perspective, cela équivaut à environ 27 millions de films haute définition ou 35 milliards de pages de documents texte. Un tel volume suggère une opération structurée et prolongée, nécessitant probablement un accès interne contrôlé, une montée progressive en privilèges dans le système, et une exfiltration discrète sur plusieurs semaines, voire plusieurs mois.
Cette quantité astronomique soulève également des questions sur les mesures de sécurité en place : comment une telle extraction de données a-t-elle pu passer inaperçue ? Les systèmes de détection d'intrusion étaient-ils défaillants ou absents ?
Un silence officiel préoccupant
Depuis l'émergence de cette affaire, la communication des autorités reste minimale. Un communiqué officiel du Directeur de la DAF, daté du 5 février 2026, se contente d'évoquer un "dysfonctionnement dans le système" et annonce la suspension temporaire du service de production des cartes nationales d'identité.
Les responsables gouvernementaux affirment que les informations personnelles des citoyens n'auraient pas été compromises, une déclaration qui semble contradictoire avec les affirmations du groupe cybercriminel et qui suscite le scepticisme des experts en sécurité informatique.
Cette communication prudente, voire évasive, contraste avec la gravité apparente de la situation et alimente les interrogations des citoyens, des médias et des spécialistes de la cybersécurité. L'absence de transparence risque d'éroder davantage la confiance du public dans les institutions numériques de l'État.
Une troublante coïncidence
L'attaque survient dans un contexte déjà tendu. La DAF était en plein bras de fer avec Iris Corporation, la société malaisienne qui a remporté le marché de production des cartes d'identité numérisées, à propos de factures impayées s'élevant à plusieurs milliards de francs CFA.
Informés de la cyberattaque, les responsables malaisiens se sont engagés à déployer une équipe technique au Sénégal pour évaluer les dégâts et participer aux efforts de restauration des systèmes. Cette collaboration internationale sera cruciale pour déterminer l'étendue exacte de la compromission et restaurer la confiance dans le système.
Un contexte de vulnérabilité numérique croissante
Cette cyberattaque n'est malheureusement pas un incident isolé. Elle s'inscrit dans une série d'attaques visant les infrastructures critiques sénégalaises. Récemment, la Direction générale des Impôts et Domaines (DGID) avait également été victime d'une intrusion similaire, démontrant une vulnérabilité systémique des institutions étatiques face aux cybermenaces.
La multiplication de ces incidents illustre une réalité préoccupante : la numérisation accélérée des infrastructures administratives africaines, si elle présente d'énormes opportunités, expose également ces pays à de nouveaux risques pour lesquels ils ne sont pas toujours préparés. Les mesures de sécurité peinent souvent à suivre le rythme de la transformation digitale.
L'Afrique de l'Ouest, en pleine transition numérique, devient une cible de choix pour les groupes de ransomware qui y voient des organisations disposant de ressources financières mais présentant des vulnérabilités de sécurité exploitables.
Des conséquences potentiellement catastrophiques
Si elle se confirmait dans toute son ampleur, cette fuite de données pourrait avoir des répercussions dramatiques pour les citoyens sénégalais et pour l'État :
Usurpation d'identité à grande échelle : Avec l'accès aux données biométriques et aux informations d'état civil, des criminels pourraient créer de fausses identités ou usurper celles de citoyens réels pour commettre des fraudes.
Fraudes administratives massives : Les données compromises pourraient être utilisées pour obtenir frauduleusement des documents officiels, ouvrir des comptes bancaires, contracter des crédits ou commettre d'autres délits financiers.
Exploitation criminelle des informations biométriques : Les empreintes digitales et les photographies pourraient être revendues sur le dark web ou utilisées pour contourner des systèmes de sécurité biométrique.
Vulnérabilité électorale : Si les fichiers électoraux ont effectivement été compromis, cela pourrait ouvrir la porte à des manipulations lors des prochaines échéances démocratiques.
Atteinte à la souveraineté nationale : Des acteurs étrangers malveillants pourraient exploiter ces données à des fins de renseignement ou de déstabilisation.
Au-delà de ces risques concrets, c'est la confiance des citoyens dans les systèmes d'identité numérique qui pourrait être durablement ébranlée, compromettant les efforts de transformation digitale du pays et freinant l'adoption de services administratifs en ligne.
L'urgence d'une stratégie nationale de cybersécurité
Cette crise révèle l'urgence pour le Sénégal de se doter d'une véritable architecture de cybersécurité. Les experts recommandent la création d'une Agence Nationale de la Cybersécurité dotée de moyens conséquents et de prérogatives étendues.
Mais au-delà de cette structure, c'est toute une culture de la sécurité informatique qui doit être développée :
- Protocoles de sauvegarde renforcés : Des sauvegardes régulières, chiffrées et stockées hors ligne pour permettre une restauration rapide en cas d'attaque.
- Formation continue des équipes : Les agents travaillant avec des données sensibles doivent être formés aux bonnes pratiques de cybersécurité et aux techniques de détection des menaces.
- Audits de sécurité réguliers : Des tests d'intrusion et des évaluations de vulnérabilité doivent être menés périodiquement par des experts indépendants.
- Plans de réponse aux incidents : Des procédures claires et testées pour réagir rapidement et efficacement en cas de cyberattaque.
- Collaboration régionale : Le partage d'informations sur les menaces avec d'autres pays africains pour anticiper et contrer les groupes cybercriminels.
- Investissements technologiques : Des systèmes de détection d'intrusion modernes, des pare-feu nouvelle génération et des solutions de chiffrement robustes.
Un tournant décisif pour l'Afrique numérique
Dans un monde où les données sont devenues le nouvel or noir, cette cyberattaque contre la DAF pourrait marquer un tournant décisif dans la prise de conscience des enjeux de cybersécurité au Sénégal et en Afrique de l'Ouest.
Les pays africains investissent massivement dans leur transformation numérique, avec des ambitions légitimes d'inclusion financière, d'amélioration des services publics et de développement économique. Mais cette course à la modernisation ne peut se faire au détriment de la sécurité.
L'affaire de la DAF démontre que la cybersécurité ne peut plus être considérée comme un luxe ou une préoccupation secondaire, mais doit être intégrée dès la conception de tout système numérique gérant des données sensibles.
Les décisions prises dans les semaines à venir par les autorités sénégalaises seront scrutées dans toute la région. Leur réponse à cette crise pourrait servir de modèle – ou de contre-exemple – pour d'autres nations africaines confrontées à des défis similaires.
Que peuvent faire les citoyens ?
En attendant des éclaircissements officiels, les citoyens sénégalais dont les données pourraient avoir été compromises devraient prendre certaines précautions :
- Surveiller attentivement leurs comptes bancaires et signaler toute transaction suspecte
- Être vigilants face aux tentatives d'hameçonnage ou d'usurpation d'identité
- Ne pas partager d'informations personnelles sensibles par téléphone ou email sans vérification de l'identité de l'interlocuteur
- Envisager de placer une alerte de fraude auprès des institutions financières
- Se tenir informés via les canaux officiels du gouvernement
En attendant une communication officielle détaillée des autorités, les citoyens sénégalais restent dans l'incertitude quant au devenir de leurs données les plus sensibles. Cette affaire rappelle avec force que dans l'ère numérique, la sécurité des données n'est pas qu'une question technique, mais un enjeu de souveraineté nationale et de protection des droits fondamentaux des citoyens.
Auteur: Aicha Sow
Date : Vendredi 6 fevrier 2026